---
title: 使用 Google Cloud KMS 設定 CMEK
url: https://platform.claude.com/docs/zh-TW/manage-claude/cmek-google-cloud-kms
description: 建立 Google Cloud KMS 金鑰、授予 Anthropic 對其的存取權，並在 Claude Platform 或 Claude Enterprise 中使用該金鑰。
---

讓 Claude Code 為您設定此功能

```text
/claude-api 協助我使用 Google Cloud KMS 設定客戶管理的加密金鑰
```

## 開始之前

在 Claude 中：

* 客戶管理的加密金鑰（CMEK）已[為您的組織開啟](https://platform.claude.com/docs/zh-TW/manage-claude/cmek#availability)。
* 您已取得您的 Anthropic 組織 ID，即不含 `org_` 前綴的 UUID。請從 Claude Console 中的 [Organization](https://platform.claude.com/settings/organization) 複製，或從 claude.ai 上的 **Organization settings > Organization and access** 複製。建立金鑰的人需要此 ID。
* 您是 Claude Platform 上的 Organization Admin，或是 Claude Enterprise 上的 Owner 或 Primary Owner。
* 在 Claude Platform 上，您擁有一個[保留資料](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-data-retention#data-retention)的工作區，最好是新的工作區，因為[現有資料仍以 Anthropic 的金鑰加密](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-how-it-works#when-your-key-takes-effect)。
* 在 Claude Enterprise 上，您了解[哪些功能會關閉或變更](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)。

在 Google Cloud 中：

* 已啟用 Cloud KMS API。
* 您可以建立金鑰環和金鑰，並對其設定 IAM 政策（`roles/cloudkms.admin` 或同等角色）。
* 已開啟 Cloud KMS [Data Access 稽核日誌](https://docs.cloud.google.com/logging/docs/audit/configure-data-access)（Data Read 和 Data Write），讓 Cloud Logging 記錄 Anthropic 對您金鑰的使用情況。這些日誌預設為關閉。
* 如果您的 Google Cloud 組織強制執行網域限制共用（`constraints/iam.allowedPolicyMemberDomains`），它會阻擋授予 Anthropic 服務帳戶的權限。請新增專案層級的例外，或允許 Anthropic 的 Cloud Identity 客戶 ID。請聯絡 Anthropic 以取得該 ID。

## 在 Google Cloud 中：建立金鑰

如果 **Verify** 或 **Add** 失敗，請參閱 [Google Cloud KMS 的修正方法](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-troubleshooting#google-cloud-kms)。

這些步驟會以小寫的 Anthropic 組織 ID（`<ORGANIZATION_UUID>`）為金鑰加上標籤，並授予 Anthropic 服務帳戶存取權：

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

請只使用此位址，切勿使用透過電子郵件或聊天傳送的位址。

您可以使用任何 Cloud KMS 位置。若要獲得最低的延遲，請使用 `us-east5` 或 `us-central1`。Anthropic 強烈建議使用 HSM 保護。

若要使用您現有的金鑰，請先[新增組織標籤](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-google-cloud-kms#organization-label)。

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="建立或選擇金鑰環">
        在 Google Cloud 主控台中，前往 [Key management](https://console.cloud.google.com/security/kms) 頁面。開啟一個金鑰環，或在 `us-east5` 等位置建立一個金鑰環。
      </Step>

      <Step title="設定金鑰">
        點擊 **Create key** 並輸入名稱。選擇以下選項：

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="新增組織標籤">
        點擊 **Additional settings**，然後點擊 **Add label**。輸入組織標籤：

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        點擊 **Create**。

        <Frame caption="具有組織標籤、受 HSM 保護的對稱加密/解密金鑰。">
          ![Google Cloud KMS 的 Create key 頁面，已設定 HSM 保護、對稱加密/解密，且 anthropic-org 標籤設為 true。](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="開啟金鑰的權限">
        在金鑰環詳細資料頁面上，選取金鑰旁的核取方塊。開啟 **Permissions** 面板並點擊 **Grant access**。
      </Step>

      <Step title="授予 Anthropic 服務帳戶對金鑰的存取權">
        確認 **Resource** 顯示的是金鑰，而不是金鑰環或專案。輸入以下值：

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        點擊 **Add another role** 並選擇 **Cloud KMS Viewer**。點擊 **Save**。

        <Frame caption="授予 Anthropic 服務帳戶兩個角色，範圍限定於該金鑰。">
          ![Grant access 對話方塊，Anthropic 服務帳戶已被指派 Cloud KMS CryptoKey Encrypter/Decrypter 和 Viewer 角色。](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="複製完整的金鑰資源名稱">
        在金鑰環詳細資料頁面上，開啟金鑰的 **Actions** 選單並點擊 **Copy resource name**。

        <Frame caption="從動作選單複製金鑰的完整資源名稱。">
          ![Google Cloud 金鑰環詳細資料，金鑰的動作選單中已醒目標示 Copy resource name 動作。](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    在每個指令中，替換以下預留位置：

    * **`<your-project-id>`:** 您的 Google Cloud 專案 ID
    * **`<region>`:** 金鑰的位置，例如 `us-east5`
    * **`<your-keyring-name>`:** 金鑰環的名稱
    * **`<your-key-name>`:** 金鑰的名稱
    * **`<ORGANIZATION_UUID>`:** 小寫的 Anthropic 組織 ID

    <Steps>
      <Step title="建立或選擇金鑰環">
        如果您已有可重複使用的金鑰環，請略過此步驟。

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="建立金鑰">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        若要使用軟體保護，請省略 `--protection-level=hsm`。
      </Step>

      <Step title="授予 Anthropic 服務帳戶對金鑰的存取權">
        執行以下兩個指令：

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="取得完整的金鑰資源名稱">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

在 Claude 中新增金鑰的人需要該金鑰的完整資源名稱，格式如下：

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### 為您現有的金鑰新增組織標籤

除非金鑰具有設為 `true` 的標籤 `anthropic-org-<ORGANIZATION_UUID>`（其中包含小寫的 Anthropic 組織 ID），否則驗證會失敗。若要新增此標籤，請執行：

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

其他值可在金鑰的完整資源名稱中找到，且此指令會保留現有的標籤。接著請跳至[授予存取權的步驟](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-google-cloud-kms#encryption-key-setup)。

## 在 Claude 中：新增並附加金鑰

若要在 Claude Platform 上以指令碼執行此部分，請改為[使用 Admin API](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-admin-api)。

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="開啟加密金鑰設定">
        在 Claude Console 中，開啟 Data retention 頁面上的 [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)。如果該區段不存在，請從頂端的下拉選單中選取 **Organization**。
      </Step>

      <Step title="新增金鑰">
        在 **Encryption keys** 下，點擊 **Add key**。輸入 **Display name**，選擇 **Google Cloud KMS**，然後點擊 **Continue**。
      </Step>

      <Step title="輸入金鑰資源名稱">
        確認您的金鑰具有對話方塊中顯示的 **Organization label**。將金鑰的完整資源名稱貼到 **Key resource name** 中，然後點擊 **Add**。
      </Step>

      <Step title="驗證金鑰">
        在 **Encryption keys** 清單中，按一下金鑰旁的 **Verify**。檢查通過時會顯示 **Connected**。如果改為顯示 **Connection failed**，請參閱[疑難排解 CMEK](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-troubleshooting)。
      </Step>

      <Step title="將金鑰附加到工作區">
        <Warning>
          附加金鑰[無法復原](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-key-lifecycle#what-each-action-does)。您無法將其從工作區中移除，也無法替換它。如果該金鑰被刪除，Anthropic 將無法救回受其保護的資料。
        </Warning>

        1. 在 Data retention 頁面頂端，從下拉式選單中選取工作區。
        2. 在 **Encryption key** 下，選取金鑰並按一下 **Save**。
        3. 勾選核取方塊，確認您已閱讀 CMEK 文件，然後按一下 **Confirm**。

        您會看到 **Workspace settings updated.** 您的金鑰[生效](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-how-it-works#when-your-key-takes-effect)後，您的雲端供應商的稽核日誌會顯示 Anthropic 對您的金鑰的呼叫。

        在 [ZDR 組織](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-data-retention#zdr-organizations)中，選取工作區後，請選取 **Standard data retention**，**Encryption key** 才會出現。按一下 **Save** 後，請在資料保留條款上按一下 **Accept**。
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    在 Claude Enterprise 上，CMEK 適用於整個組織，且您只能新增單一金鑰。

    <Warning>
      新增金鑰[無法復原](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-key-lifecycle#what-each-action-does)。您無法將該金鑰從組織中移除，也無法替換它。如果該金鑰遭到刪除，Anthropic 將無法救回該金鑰所保護的資料。
    </Warning>

    新增金鑰會為每位使用者[關閉或變更部分功能](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)。若要先試用 CMEK，請使用另一個獨立的組織。

    <Steps>
      <Step title="開啟加密金鑰設定">
        前往 [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) 並找到 **Encryption keys**。
      </Step>

      <Step title="新增金鑰">
        點擊 **Add key**。輸入 **Display name** 並選擇 **Google Cloud KMS**。選取核取方塊以確認您已閱讀 CMEK 文件，然後點擊 **Continue**。
      </Step>

      <Step title="輸入金鑰資源名稱">
        確認您的金鑰具有對話方塊中顯示的 **Organization label**。將金鑰的完整資源名稱貼到 **Key resource name** 中，然後點擊 **Add**。
      </Step>

      <Step title="確認金鑰已新增">
        檢查最多可能需要 30 秒。當出現 **Encryption key configured.** 時，請按一下 **Done**。如果改為出現 **The encryption key couldn’t be added.**，請[找出原因並重試](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-troubleshooting#claude-ai-add-fails)。

        從那時起寫入的資料都會受到您的金鑰保護。請告知您的使用者[哪些功能已變更](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)。
      </Step>
    </Steps>
  </Tab>
</Tabs>